"Ik heb je per ongeluk een code gestuurd": zo wordt je WhatsApp gestolen

Je krijgt een sms met een zescijferige code waar je niet om hebt gevraagd en vrijwel tegelijk een bericht van een vriend, van iemand uit de oudergroep van school of van een "WhatsApp-medewerker": "Sorry, ik heb je per ongeluk een code gestuurd, kun je hem even doorsturen?". Het lijkt een onschuldige gunst, maar die code is de sleutel van je account. Stuur je hem door, dan registreert iemand anders jouw WhatsApp- of Telegram-nummer op zijn eigen telefoon, verlies jij de toegang en begint de oplichter al je contacten te berichten alsof hij jou is. De regel is eenvoudig en kent geen uitzonderingen: een verificatiecode deel je nooit, met niemand.

Hoe werkt het kapen van een account?

WhatsApp en Telegram herkennen je account aan je telefoonnummer. Als iemand de app op een nieuwe telefoon installeert en een nummer invoert, stuurt de dienst een code per sms (of via een oproep, of in de app zelf) naar de telefoon van de eigenaar om te controleren dat het nummer van hem is. De oplichter heeft precies nodig wat jij net hebt ontvangen.

Het script verloopt meestal zo:

1. De oplichter voert jouw nummer in op zijn telefoon en start de registratie. Jij krijgt de officiële sms met de code.
2. Hij stuurt je een bericht om de code te vragen. Vaak vanaf het account van een echt contact dat al gekaapt is; daarom komt het bericht van iemand die je vertrouwt. Soms doet hij zich voor als WhatsApp-support, als organisator van een winactie of stemming, of als iemand die "het verkeerde nummer" had.
3. Hij zet je onder druk. "Het is dringend", "mijn account wordt geblokkeerd", "het duurt maar even".
4. Stuur je de code, dan gaat het account naar zijn telefoon. Jouw WhatsApp wordt uitgelogd en vaak zet hij zijn eigen verificatie in twee stappen aan, zodat je het niet makkelijk terugkrijgt.
5. Hij gebruikt jouw identiteit. Hij stuurt je contacten en groepen berichten met verzoeken om dringend geld, een overboeking of een directe betaling (in Spanje vaak via Bizum, de mobiele betaaldienst daar) of, opnieuw, om "de code die ik je per ongeluk stuurde". Zo gaat de keten door.

Wat zijn de alarmsignalen?

• Je ontvangt een code die je niet hebt aangevraagd. Dit is het duidelijkste teken: iemand probeert je account binnen te komen.
• In de sms staat letterlijk dat je hem niet mag delen. Officiële berichten van WhatsApp, Telegram, je bank en bijna elke dienst waarschuwen daarvoor.
• Je wordt via de chat om de code gevraagd, ook al is het een vriend. Niemand kan je "per ongeluk" een code voor zijn eigen account sturen: codes gaan altijd naar het nummer dat geregistreerd wordt.
• "Technische support" stuurt je een bericht. WhatsApp en Telegram vragen je nooit om een code via chat, sms of telefoon.
• Er is haast of een vreemd excuus: een winactie, een stemming, een account dat "zo geblokkeerd wordt".

Wat doe ik nu meteen als iemand erom vraagt?

1. Stuur de code niet door en lees hem ook niet voor aan de telefoon. Zelfs geen deel ervan.
2. Controleer via een ander kanaal. Komt het bericht van een contact, bel hem dan op zijn gewone nummer of vraag het persoonlijk. Zijn account is hoogstwaarschijnlijk al gekaapt; laat het hem weten.
3. Zet nu verificatie in twee stappen aan (hieronder lees je hoe). Daarmee heeft iemand die een code bemachtigt ook nog een pincode nodig die alleen jij kent.
4. Blokkeer en rapporteer de chat in de app zelf. Kwam het bericht van een onbekend nummer, dan kun je het ook melden in de spamnummer-database.
5. Waarschuw anderen: wordt het account van een vriend misbruikt, meld het dan in jullie gezamenlijke groep zodat niemand anders erin trapt.

Hoe zet ik verificatie in twee stappen aan?

Het is de beste bescherming tegen deze fraude en je regelt het in een minuut:

• WhatsApp: Instellingen Account Verificatie in twee stappen Inschakelen. Kies een zescijferige pincode die je nergens anders gebruikt en voeg een e-mailadres toe zodat je hem kunt resetten als je hem vergeet.
• Telegram: Instellingen Privacy en beveiliging Tweestapsverificatie. Maak een wachtwoord aan en voeg een herstel-e-mailadres toe.

Deel ook die pincode of dat wachtwoord nooit. De menu's kunnen per app-versie iets verschillen, maar de optie heet altijd zo. Controleer meteen je gekoppelde apparaten (WhatsApp: Instellingen Gekoppelde apparaten; Telegram: Instellingen Apparaten) en beëindig elke sessie die je niet herkent.

En als ik de code al heb gestuurd?

Handel snel. Hoe eerder, hoe makkelijker je het account terugkrijgt:

1. Registreer je nummer opnieuw op je eigen telefoon. Open WhatsApp, voer je nummer in en bevestig het met de nieuwe code die je per sms krijgt. Daarmee wordt de sessie van de oplichter beëindigd.
2. Vraagt de app om een pincode die je niet kent, dan heeft de oplichter zijn eigen verificatie in twee stappen aangezet. Hij kan je niet voorgoed buitensluiten: na een wachttijd van enkele dagen laat WhatsApp je het account opnieuw registreren zonder die pincode. Schrijf intussen vanuit de app naar support (Instellingen Help) en leg uit dat je account is gestolen.
3. Op Telegram log je in met je nummer, ga je naar Instellingen Apparaten en tik je op "Alle andere sessies beëindigen". Stel daarna je wachtwoord voor tweestapsverificatie in.
4. Waarschuw je contacten via een andere weg (sms, telefoon, sociale media of via familie): "Mijn WhatsApp is gestolen, negeer elk bericht van mij waarin om geld of codes wordt gevraagd".
5. Kwam de code van je bank of een betaalapp, bel dan direct het officiële nummer van je bank (dat op de achterkant van je pas of op de website staat) om transacties te blokkeren.
6. Bewaar bewijs: screenshots van de berichten, het nummer dat contact met je opnam en het tijdstip.

Waar doe ik aangifte en wie helpt me?

• Politie: in Spanje de Policía Nacional (091) of de Guardia Civil (062); elders de politie van je eigen land. Doe aangifte met de screenshots, zeker als je identiteit is misbruikt of iemand geld is kwijtgeraakt. Dat je de code hebt gestuurd, maakt je niet schuldig: je bent slachtoffer van misleiding.
• Hulplijn voor cyberveiligheid: in Spanje is lijn 017 van INCIBE een gratis en vertrouwelijke hulplijn die je stap voor stap helpt je account terug te krijgen en je apparaten te beveiligen; het Bureau voor Internetveiligheid (OSI) van INCIBE heeft ook handleidingen om WhatsApp en Telegram veilig in te stellen. Elders kun je terecht bij het nationale centrum voor cyberveiligheid of het landelijke fraudemeldpunt.
• 112: alleen bij een noodgeval of een directe dreiging.

Als je contacten in jouw naam om geld is gevraagd, lees dan ook hoe de WhatsApp-fraude met het "kind in nood" werkt: dat is de gebruikelijke vervolgstap na deze diefstal.

Veelgestelde vragen

Ik kreeg een code waar ik niet om vroeg, maar ik heb hem aan niemand gegeven. Loop ik gevaar? Nee. Zonder de code komen ze er niet in. Het betekent dat iemand jouw nummer heeft geprobeerd; negeer de sms, reageer niet op wie erom vraagt en zet verificatie in twee stappen aan.

Een echte vriend vroeg erom, hoe kan dat oplichting zijn? Omdat degene die schrijft waarschijnlijk niet je vriend is, maar degene die zijn account heeft gestolen. Bel hem voordat je iets doet.

Kunnen ze mijn oude gesprekken lezen? Over het algemeen worden je oude chats niet gedownload als het account op een nieuwe telefoon wordt geregistreerd, tenzij ze toegang hebben tot je back-up. Ze kunnen wel in jouw naam schrijven en nieuwe berichten zien die binnenkomen zolang zij het account beheren.

Heeft het zin om van nummer te wisselen? Dat is niet nodig. Het account terughalen en verificatie in twee stappen aanzetten is genoeg.

Samengevat

Een code die per sms binnenkomt is van jou en van niemand anders: niet van vrienden, niet van "technische support", niet van winacties. Vraagt iemand erom, stuur hem dan niet, controleer via een ander kanaal en zet verificatie in twee stappen aan. Heb je hem al gestuurd, registreer je nummer dan opnieuw, waarschuw je contacten en doe aangifte. En kwam de poging van een onbekend nummer, meld het dan in de spamnummer-database van NoCall zodat anderen het op tijd herkennen.